安全机制为什么演进

早期无线网络用 WEP 保护，采用 RC4 加密与 24 位初始向量，密钥空间太小且初始向量会重复，抓够流量就能还原密钥，相关工具早已公开。WPA 作为过渡方案引入 TKIP，核心仍是 RC4，只是增加了密钥混合与完整性校验，同样不再安全。WPA2 改用基于 AES 的 CCMP，加密强度足够，风险转移到口令上：四次握手能被抓包，弱口令可离线穷举。WPA3 用 SAE 对等认证堵住这一步，抓包也无法离线验证口令。

安全机制对照

选型口径

典型使用场景

• 存量网络评估：按机制逐项列出哪些点位仍在用 WEP 或 TKIP
• 新项目选型：确定安全模式与过渡策略
• 等保与合规检查：核对加密算法与认证方式
• 访客网络设计：与内网物理或逻辑隔离
• 改造排期：先评估老终端支持度，再决定何时收窄过渡模式

常被误解的手段

隐藏 SSID、MAC 地址过滤、端口隔离经常被当成安全措施，但它们都不是加密。隐藏 SSID 只是不广播网络名，抓包仍能看到探测与关联过程；MAC 过滤只在 AP 侧丢弃不符合的帧，改一下网卡地址就能绕过；端口隔离解决的是同网段横向访问，与空口是否加密无关。真正的安全边界只有两条：用 WPA2 或 WPA3 加密空口，并用足够强的凭据或证书证明身份。其余手段只能提高门槛，不能替代这两条。